Varför ransomwareattacker nu fokuserar på datastöld, inte kryptering

I flera år har standardmetoden för ransomware varit enkel: bryt dig in, kryptera filer, kräv betalning för dekrypteringsnyckeln. Säkerhetskopior var lösningen. Återställ systemen, ignorera lösensumman, gå vidare. Den metoden är i stort sett föråldrad.

Dagens ransomwaregrupper har anpassat sig till att många organisationer återhämtar sig från kryptering utan problem. Därför har de flyttat hävstången. Innan de låser något kopierar angriparna nu tyst känsliga filer, ekonomiska register, anställdas data och kundinformation från nätverket. Kryptering har blivit nästan sekundärt, ibland hoppas det över helt. Det verkliga hotet är en offentlig läcksajt där stulna data publiceras om betalning inte görs. Detta är hotet om ransomware-datautpressning som säkerhetsforskare har följt noga, och det ändrar vad "att vara förberedd" faktiskt innebär för organisationer av alla storlekar.

Mönstret är inte isolerat till en viss region eller bransch. Rapportering om ransomware-incidenter i Indien har till exempel visat att en majoritet av attackerna nu involverar datastöld snarare än ren kryptering, enligt Proofpoints analys av ransomware-aktivitet där. Samma dynamik utspelar sig närmare hemmet, inklusive i St. Louis storstadsområde.

Vad som är känt om incidenterna i St. Louis-området

Enligt rapporter från CHR Solutions, ett IT- och cybersäkerhetsföretag baserat i St. Louis, har ransomware drabbat skolsystem, stadsnätverk och lokala företag i storstadsområdet bara under de senaste månaderna. Företaget, som arbetar direkt med regionala organisationer för att täppa till säkerhetsluckor, framställer detta som ett lokalt och återkommande problem snarare än en avlägsen rubrik. Specifika detaljer om enskilda incidenter är begränsade i den tillgängliga rapporteringen, men det beskrivna mönstret speglar vad som händer nationellt: nätverk i offentlig sektor och små till medelstora företag är ofta måltavlor, ofta för att de har färre dedikerade säkerhetsresurser än stora företag.

Skoldistrikt och kommunala nätverk är särskilt attraktiva mål för utpressningsbaserade attacker. De innehar stora mängder personuppgifter, inklusive register om elever, anställda och invånare, och de möter ofta offentligt tryck för att undvika avbrott, vilket kan göra dem mer benägna att förhandla. När angriparna vet att hävstången inte bara är "kan ni fungera utan era filer" utan "har ni råd med att dessa data publiceras", ökar betalningspåtryckningen avsevärt.

Hur dubbel utpressning förändrar kalkylen för små och medelstora företag

Dubbel utpressning, att kryptera system samtidigt som man hotar att läcka stulna data, förändrar i grunden riskekvationen för mindre organisationer. Ett företag med solida, testade säkerhetskopior hade tidigare en tydlig väg till återhämtning: återställ och bygg upp igen. Men säkerhetskopior hindrar inte en läcksajt från att publicera kundkontrakt, anställdas personnummer eller proprietär affärsdata.

Detta är oerhört viktigt för små och medelstora företag som kanske antar att enbart säkerhetskopior utgör ett ransomware-försvar. Ett färskt exempel på hur dessa läckhot utspelar sig i praktiken är Play-ransomwaregruppens påstådda attack mot Kreysler & Associates, där gruppen följde sin typiska operativa modell att hota med att publicera stulna data i stället för att enbart förlita sig på kryptering för att tvinga fram betalning. Fall som detta illustrerar att den förhandlingshävstång som angriparna har gått från "vi låste era system" till "vi har era data och kommer att offentliggöra dem". Det är en risk för anseende, juridik och reglering som återställning av säkerhetskopior helt enkelt inte kan åtgärda.

För mindre organisationer utan dedikerade säkerhetsteam innebär denna förskjutning att incidenthanteringsplanering måste ta hänsyn till scenarier för dataexponering, inte bara systemavbrott.

Praktiska förstärkningsåtgärder som hanterar utpressningsrisken

Säkerhetskopior är fortfarande viktiga, men de är inte längre tillräckliga i sig själva. Organisationer som menar allvar med att minska utpressningsrisken bör fokusera på några områden som går utöver traditionell katastrofåterställning:

  • Begränsa vad angripare kan stjäla. Minska datalagringen där det är möjligt och segmentera nätverk så att ett enda komprometterat konto inte ger tillgång till allt.
  • Övervaka för exfiltration, inte bara kryptering. Detekteringsverktyg som flaggar ovanliga utgående dataöverföringar kan fånga en attack innan filerna lämnar nätverket, vilket ofta är tidigare än vad krypteringsfokuserad övervakning skulle fånga den.
  • Förstärk identitetskontroller. Flerfaktorsautentisering och strikt hanterade privilegierade konton är fortfarande bland de mest effektiva barriärerna mot den initiala åtkomst angripare behöver för att stjäla data över huvud taget.
  • Skapa en incidenthanteringsplan som hanterar läckhot. Juridiska, kommunikations- och regleringsmässiga anmälningssteg bör kartläggas innan en attack inträffar, inte under en.

Vad detta betyder för dig

Om din organisations ransomware-plan fortfarande främst kretsar kring procedurer för säkerhetskopiering och återställning, hanterar den gårdagens hot. Hotet om ransomware-datautpressning innebär att den verkliga risken ofta är vad angriparna redan kopierade innan du ens märkte ett problem. Detta gäller oavsett om du är ett skoldistrikt, ett kommunkontor eller ett litet företag som hanterar kunddata. Att anta att du är för liten för att vara en måltavla är inte längre en säker satsning; mindre organisationer väljs ofta just för att de har färre försvar på plats.

Viktiga slutsatser

  • Ransomwareattacker prioriterar alltmer datastöld och läckhot framför ren kryptering, ett mönster som syns både regionalt och internationellt.
  • Att återhämta sig från kryptering med säkerhetskopior eliminerar inte risken för att stulna data publiceras.
  • Små och medelstora organisationer, inklusive skolor och kommunala nätverk, är fortfarande vanliga måltavlor på grund av begränsade säkerhetsresurser.
  • Effektivt försvar kräver nu övervakning av dataexfiltration, skärpta åtkomstkontroller och planering av incidenthantering kring möjligheten av en offentlig läcka, inte bara systemavbrott.